Accordo sul trattamento dei dati (art. 28 GDPR)
Versione del 16 ottobre 2026
Il presente accordo fa parte del contratto di abbonamento a Controvisto e si applica dal momento in cui lo studio («Titolare») crea il proprio registro. Alessandro Richard, ditta individuale — Via Roma 123, 15020 Villadeati (AL) — P.IVA 10689390010 — PEC alessandro.richard@pec.it — e-mail assistenza@controvisto.it è il «Responsabile».
1. Oggetto e durata
Il Responsabile tratta per conto del Titolare i dati personali inseriti nel registro Controvisto, al solo fine di fornire il servizio descritto nelle condizioni d'uso, per tutta la durata dell'abbonamento e per il periodo successivo indicato al punto 9.
2. Natura dei dati e interessati
Dati comuni dei professionisti e collaboratori dello studio (nome, qualifica, iscrizione all'albo, e-mail, ruolo, accessi) e i dati che il Titolare sceglie di inserire nel registro. Il servizio è progettato perché nel registro non compaiano dati identificativi dei clienti: il Titolare si impegna a usare solo riferimenti interni delle pratiche (art. 5, par. 1, lett. c) GDPR, minimizzazione) e a non inserire categorie particolari di dati (art. 9 GDPR) né dati relativi a condanne penali e reati (art. 10 GDPR). I documenti sigillati non vengono trasmessi: il Responsabile riceve solo la loro impronta.
3. Istruzioni
Il Responsabile tratta i dati solo su istruzione documentata del Titolare, costituita dal contratto, da questo accordo e dall'uso delle funzioni del programma; informa il Titolare se ritiene che un'istruzione violi la normativa.
4. Riservatezza
Chi è autorizzato ad accedere ai dati è vincolato alla riservatezza. L'accesso ai dati del registro da parte del Responsabile avviene solo quando serve per l'assistenza richiesta dal Titolare, per l'esportazione richiesta per iscritto, per la sicurezza del servizio o per obbligo di legge.
5. Sicurezza (art. 32)
- Dati conservati nell'Unione europea, cifrati durante la trasmissione (HTTPS) e sui dischi del fornitore del database.
- Separazione dei dati di ogni studio garantita dal database: le funzioni del programma restituiscono solo i dati dello studio a cui appartiene l'utente collegato; nessun accesso diretto alle tabelle.
- Accesso con password e verifica in due passaggi obbligatoria; al massimo due dispositivi per account; uscita automatica dopo 30 minuti senza attività; avviso per e-mail a ogni accesso da un dispositivo nuovo.
- Ruoli nello studio: il titolare vede tutto il registro; professionisti e collaboratori vedono le righe che hanno scritto o verificato; i collaboratori non emettono sigilli.
- Storico non modificabile di ogni inserimento, modifica e revoca; registro degli accessi consultabile dal titolare.
- Copie di sicurezza del database, con prova di ripristino.
- I sigilli non si possono modificare né cancellare, solo revocare con un motivo; la loro data è fissata ogni giorno con OpenTimestamps.
6. Sub-responsabili
Il Titolare autorizza in via generale il ricorso ai sub-responsabili elencati nell'informativa privacy (Supabase per database, accessi e funzioni; Cloudflare per la pubblicazione del sito; Aruba per l'invio delle e-mail del servizio). Il Responsabile informa il Titolare per e-mail almeno 30 giorni prima di aggiungere o sostituire un sub-responsabile; il Titolare può opporsi disdicendo senza costi. Il Responsabile impone ai sub-responsabili obblighi equivalenti a quelli di questo accordo.
7. Assistenza al Titolare
Il Responsabile assiste il Titolare, per quanto possibile e tenuto conto della natura del trattamento, nel rispondere alle richieste degli interessati, nelle valutazioni d'impatto e nella consultazione preventiva. Finché l'abbonamento è attivo, le funzioni di esportazione del registro (CSV), del fascicolo della pratica (PDF), dello storico e degli accessi consentono al Titolare di rispondere in autonomia alle richieste di accesso e portabilità.
8. Violazioni dei dati
Il Responsabile informa il Titolare senza ingiustificato ritardo, e comunque entro 48 ore da quando ne viene a conoscenza, di ogni violazione dei dati personali che riguardi il suo registro, con le informazioni disponibili per la notifica prevista dall'art. 33 GDPR.
9. Fine del trattamento: restituzione e cancellazione (art. 28, par. 3, lett. g)
Se l'abbonamento non viene rinnovato, il programma si blocca e il Titolare non può più consultare né esportare il registro da sé. In questo caso, e dopo la disdetta, il Titolare può chiedere per iscritto all'assistenza (assistenza@controvisto.it) la restituzione dei dati: il Responsabile invia una volta l'esportazione completa del registro, in formato CSV e JSON, all'indirizzo del titolare dello studio.
Trenta giorni dopo la fine dell'ultimo periodo pagato, o prima su richiesta scritta del Titolare, il Responsabile cancella i dati del registro (righe, strumenti, persone, storico, accessi e dispositivi). Restano solo i dati necessari agli obblighi di legge (fatturazione) e i dati pubblici dei sigilli già emessi, che restano verificabili per almeno 10 anni come indicato nelle condizioni d'uso. Le copie di sicurezza si cancellano con il loro ciclo naturale.
10. Controlli
Il Responsabile mette a disposizione del Titolare le informazioni necessarie a dimostrare il rispetto di questo accordo e consente verifiche, con preavviso ragionevole e senza compromettere la riservatezza degli altri clienti.